Aktualizácie zabezpečenia spoločnosti Apple
Spoločnosť Apple chráni svojich zákazníkov, a preto nezverejňuje informácie o problémoch so zabezpečením, nediskutuje o nich ani ich nepotvrdzuje, kým sa problémy nepreskúmajú a nie sú k dispozícii opravy alebo nové vydania. Najnovšie vydania sú uvedené na stránke Aktualizácie zabezpečenia spoločnosti Apple.
Dokumenty spoločnosti Apple o zabezpečení podľa možnosti odkazujú na riziká prostredníctvom identifikátorov CVE-ID.
Ďalšie informácie o zabezpečení nájdete na stránke o zabezpečení produktov Apple.
iOS 12.4
Dátum vydania: 22. júla 2019
Bluetooth
K dispozícii pre: iPhone 5s a novší, iPad Air a novší a iPod touch (6. generácia) a novší
Dopad: Útočník s oprávneniami v sieti môže byť schopný zaznamenávať prenosy cez Bluetooth (útok Key Negotiation of Bluetooth – KNOB).
Popis: V rozhraní Bluetooth dochádzalo k problému súvisiacemu s overovaním vstupu. Tento problém bol vyriešený vylepšením overovania vstupu.
CVE-2019-9506: Daniele Antonioli z univerzity SUTD v Singapure, Dr. Nils Ole Tippenhauer z centra CISPA v Nemecku a prof. Kasper Rasmussen z Oxfordskej univerzity v Anglicku
Zmeny v tomto čísle zmierňujú dopad CVE-2020-10135.
Položka bola pridaná 13. augusta 2019 a aktualizovaná 25. júna 2020.
Core Data
K dispozícii pre: iPhone 5s a novší, iPad Air a novší a iPod touch (6. generácia) a novší
Dopad: Vzdialený útočník môže byť schopný spôsobiť únik pamäte
Popis: Dochádzalo k problému s čítaním dát mimo buffera, ktorý bol vyriešený vylepšením overovania vstupu.
CVE-2019-8646: natashenka z tímu Google Project Zero
Core Data
K dispozícii pre: iPhone 5s a novší, iPad Air a novší a iPod touch (6. generácia) a novší
Dopad: Vzdialený útočník môže byť schopný spôsobiť spustenie ľubovoľného kódu
Popis: Dochádzalo k problému súvisiacemu s použitím predtým uvoľnenej pamäte, ktorý bol vyriešený vylepšením správy pamäte.
CVE-2019-8647: Samuel Groß a natashenka z tímu Google Project Zero
Core Data
K dispozícii pre: iPhone 5s a novší, iPad Air a novší a iPod touch (6. generácia) a novší
Dopad: Vzdialený útočník môže byť schopný spôsobiť neočakávané ukončenie apky alebo spustenie ľubovoľného kódu
Popis: Dochádzalo k problému s poškodením pamäte, ktorý bol vyriešený vylepšením overovania vstupu.
CVE-2019-8660: Samuel Groß a natashenka z tímu Google Project Zero
FaceTime
K dispozícii pre: iPhone 5s a novší, iPad Air a novší a iPod touch (6. generácia) a novší
Dopad: Vzdialený útočník môže byť schopný spôsobiť spustenie ľubovoľného kódu
Popis: Dochádzalo k problému s poškodením pamäte, ktorý bol vyriešený vylepšením overovania vstupu.
CVE-2019-8648: Tao Huang a Tielei Wang z tímu Team Pangu
Nájdené v apkách
K dispozícii pre: iPhone 5s a novší, iPad Air a novší a iPod touch (6. generácia) a novší
Dopad: Vzdialený útočník môže byť schopný spôsobiť únik pamäte
Popis: Tento problém bol vyriešený vylepšením kontrol.
CVE-2019-8663: natashenka z tímu Google Project Zero
Game Center
K dispozícii pre: iPhone 5s a novší, iPad Air a novší a iPod touch (6. generácia) a novší
Dopad: Lokálny používateľ môže byť schopný čítať perzistentný identifikátor účtu.
Popis: Tento problém bol vyriešený novými oprávneniami.
CVE-2019-8702: Min (Spark) Zheng a Xiaolong Bai zo spoločnosti Alibaba Inc.
Dátum pridania záznamu: pondelok 24. februára 2020
Heimdal
K dispozícii pre: iPhone 5s a novší, iPad Air a novší a iPod touch (6. generácia) a novší
Dopad: V reimplementácii Samba dochádzalo k problému, ktorý mohol útočníkom povoliť vykonávať neoprávnené akcie prostredníctvom zachytávania komunikácie medzi službami.
Popis: Tento problém bol vyriešený vylepšením kontrol, aby sa zabránilo neoprávneným akciám.
CVE-2018-16860: Isaac Boukris a Andrew Bartlett z tímov Samba Team a Catalyst
Spracovanie obrázkov
K dispozícii pre: iPhone 5s a novší, iPad Air a novší a iPod touch (6. generácia) a novší
Dopad: Spracovanie obrázka so škodlivým kódom môže viesť k odmietnutiu služby
Popis: Dochádzalo k problému súvisiacemu s odmietnutím služby, ktorý bol vyriešený vylepšením overovania.
CVE-2019-8668: Anonymný výskumník
Dátum pridania záznamu: 8. októbra 2019
libxslt
K dispozícii pre: iPhone 5s a novší, iPad Air a novší a iPod touch (6. generácia) a novší
Dopad: Vzdialený útočník môže byť schopný zobraziť si citlivé informácie.
Popis: Dochádzalo k problému s pretečením zásobníka, ktorý bol vyriešený vylepšením overovania vstupu.
CVE-2019-13118: Nájdené programom OSS-Fuzz
Správy
K dispozícii pre: iPhone 5s a novší, iPad Air a novší a iPod touch (6. generácia) a novší
Dopad: Vzdialený útočník môže spôsobiť neočakávané ukončenie apky
Popis: Dochádzalo k problému súvisiacemu s odmietnutím služby, ktorý bol vyriešený vylepšením overovania.
CVE-2019-8665: Michael Hernandez zo spoločnosti XYZ Marketing
Profily
K dispozícii pre: iPhone 5s a novší, iPad Air a novší a iPod touch (6. generácia) a novší
Dopad: Apka so škodlivým kódom môže byť schopná obmedziť prístup k webovým stránkam.
Popis: Pri overovaní oprávnení dochádzalo k problému s overovaním. Tento problém bol vyriešený vylepšením overovania oprávnení procesov.
CVE-2019-8698: Luke Deshotels, Jordan Beichler a William Enck zo Štátnej univerzity v Severnej Karolíne, Costin Carabaș a Răzvan Deaconescu z Polytechnickej univerzity v Bukurešti
Rýchly náhľad
K dispozícii pre: iPhone 5s a novší, iPad Air a novší a iPod touch (6. generácia) a novší
Dopad: Útočník môže byť schopný vyvolať v apke použitie predtým uvoľnenej pamäte (chyba use-after-free), čím spôsobí deserializáciu nedôveryhodnej triedy NSDictionary.
Popis: Tento problém bol vyriešený vylepšením kontrol.
CVE-2019-8662: natashenka a Samuel Groß z tímu Google Project Zero
Siri
K dispozícii pre: iPhone 5s a novší, iPad Air a novší a iPod touch (6. generácia) a novší
Dopad: Vzdialený útočník môže byť schopný spôsobiť únik pamäte
Popis: Dochádzalo k problému s čítaním dát mimo buffera, ktorý bol vyriešený vylepšením overovania vstupu.
CVE-2019-8646: natashenka z tímu Google Project Zero
Telefónne funkcie
K dispozícii pre: iPhone 5s a novší, iPad Air a novší a iPod touch (6. generácia) a novší
Dopad: Iniciátor hovoru môže spôsobiť, že príjemca prijme simultánne pripojenie cez Vysielačku.
Popis: Pri prijímaní telefonických hovorov dochádzalo k problému s logikou. Tento problém bol vyriešený vylepšením správy stavu.
CVE-2019-8699: Marius Alexandru Boeru (@mboeru) a anonymný výskumník
Dátum aktualizovania záznamu: 25. júla 2019
UIFoundation
K dispozícii pre: iPhone 5s a novší, iPad Air a novší a iPod touch (6. generácia) a novší
Dopad: Analýza dokumentu balíka Office so škodlivým kódom môže viesť k neočakávanému ukončeniu apky alebo spusteniu ľubovoľného kódu
Popis: Dochádzalo k problému s čítaním dát mimo buffera, ktorý bol vyriešený vylepšením overovania vstupu.
CVE-2019-8657: riusksk zo spoločnosti VulWar Corp v spolupráci s projektom Zero Day Initiative spoločnosti Trend Micro
Wallet
K dispozícii pre: iPhone 5s a novší, iPad Air a novší a iPod touch (6. generácia) a novší
Dopad: Používateľ môže nechcene dokončiť nákup v apke zo zamknutej plochy.
Popis: Dochádzalo k problému, ktorý bol vyriešený vylepšením spracovania používateľského rozhrania.
CVE-2019-8682: Jeff Braswell (JeffBraswell.com)
WebKit
K dispozícii pre: iPhone 5s a novší, iPad Air a novší a iPod touch (6. generácia) a novší
Dopad: Spracovanie webového obsahu so škodlivým kódom môže viesť k univerzálnemu skriptovaniu medzi lokalitami (XSS)
Popis: Pri spracovávaní načítania dokumentov dochádzalo k problému s logikou. Tento problém bol vyriešený vylepšením správy stavu.
CVE-2019-8690: Sergei Glazunov z tímu Google Project Zero
WebKit
K dispozícii pre: iPhone 5s a novší, iPad Air a novší a iPod touch (6. generácia) a novší
Dopad: Spracovanie webového obsahu so škodlivým kódom môže viesť k univerzálnemu skriptovaniu medzi lokalitami (XSS)
Popis: Pri spracovávaní synchrónneho načítania stránok dochádzalo k problému s logikou. Tento problém bol vyriešený vylepšením správy stavu.
CVE-2019-8649: Sergei Glazunov z tímu Google Project Zero
WebKit
K dispozícii pre: iPhone 5s a novší, iPad Air a novší a iPod touch (6. generácia) a novší
Dopad: Spracovanie webového obsahu so škodlivým kódom môže viesť k univerzálnemu skriptovaniu medzi lokalitami (XSS)
Popis: Dochádzalo k problému s logikou, ktorý bol vyriešený vylepšením správy stavu.
CVE-2019-8658: akayn v spolupráci s projektom Zero Day Initiative spoločnosti Trend Micro
WebKit
K dispozícii pre: iPhone 5s a novší, iPad Air a novší a iPod touch (6. generácia) a novší
Dopad: Spracovanie webového obsahu so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu
Popis: Dochádzalo k viacerým problémom súvisiacim s poškodením pamäte, ktoré boli vyriešené vylepšením spracovania pamäte.
CVE-2019-8644: G. Geshev v spolupráci s projektom Zero Day Initiative spoločnosti Trend Micro
CVE-2019-8666: Zongming Wang (王宗明) a Zhe Jin (金哲) z tímu Chengdu Security Response Center spoločnosti Qihoo 360 Technology Co. Ltd.
CVE-2019-8669: akayn v spolupráci s projektom Zero Day Initiative spoločnosti Trend Micro
CVE-2019-8671: Apple
CVE-2019-8672: Samuel Groß z tímu Google Project Zero
CVE-2019-8673: Soyeon Park a Wen Xu z tímu SSLab na univerzite Georgia Tech
CVE-2019-8676: Soyeon Park a Wen Xu z tímu SSLab na univerzite Georgia Tech
CVE-2019-8677: Jihui Lu z tímu KeenLab spoločnosti Tencent
CVE-2019-8678: Anthony Lai (@darkfloyd1014) zo spoločnosti Knownsec, Ken Wong (@wwkenwong) zo spoločnosti VXRL, Jeonghoon Shin (@singi21a) zo spoločnosti Theori, Johnny Yu (@straight_blast) z tímu VX Browser Exploitation Group, Chris Chan (@dr4g0nfl4me) z tímu VX Browser Exploitation Group, Phil Mok (@shadyhamsters) z tímu VX Browser Exploitation Group, Alan Ho (@alan_h0) zo spoločnosti Knownsec, Byron Wai z tímu VX Browser Exploitation, P1umer z tímu ADLab zo spoločnosti Venustech
CVE-2019-8679: Jihui Lu z tímu KeenLab spoločnosti Tencent
CVE-2019-8680: Jihui Lu z tímu KeenLab spoločnosti Tencent
CVE-2019-8681: G. Geshev v spolupráci s projektom Zero Day Initiative spoločnosti Trend Micro
CVE-2019-8683: lokihardt z tímu Google Project Zero
CVE-2019-8684: lokihardt z tímu Google Project Zero
CVE-2019-8685: akayn, Dongzhuo Zhao v spolupráci s tímom ADLab spoločnosti Venustech, Ken Wong (@wwkenwong) zo spoločnosti VXRL, Anthony Lai (@darkfloyd1014) zo spoločnosti VXRL a Eric Lung (@Khlung1) zo spoločnosti VXRL
CVE-2019-8686: G. Geshev v spolupráci s projektom Zero Day Initiative spoločnosti Trend Micro
CVE-2019-8687: Apple
CVE-2019-8688: Insu Yun z tímu SSLab na univerzite Georgia Tech
CVE-2019-8689: lokihardt z tímu Google Project Zero
Dátum aktualizovania záznamu: 11. septembra 2019
Ďalšie poďakovanie
Game Center
Poďakovanie za pomoc si zaslúžia Min (Spark) Zheng a Xiaolong Bai zo spoločnosti Alibaba Inc.
MobileInstallation
Poďakovanie za pomoc si zaslúži Dany Lisiansky (@DanyL931).